一、任務(wù)來(lái)源

2015年7月，國(guó)家互聯(lián)網(wǎng)信息辦公室下達(dá)了對(duì)國(guó)家標(biāo)準(zhǔn)《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)

安全技術(shù)規(guī)范》（GB/T25056-2010）進(jìn)行修訂的任務(wù)。由上海市數(shù)字證書(shū)認(rèn)證中心有限公

司牽頭，上海格爾軟件股份有限公司、北京數(shù)字認(rèn)證股份有限公司等單位組成了聯(lián)合修訂工

作組，開(kāi)展對(duì)該規(guī)范的修訂工作。

二、編制原則

標(biāo)準(zhǔn)修訂以《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）為基礎(chǔ)，

參考本項(xiàng)目組成員單位起草的密碼行業(yè)標(biāo)準(zhǔn)《基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范》

（GM/T0015-2012）。由于《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）

于2010年頒布，國(guó)內(nèi)已遵循該規(guī)范建設(shè)了大量的數(shù)字證書(shū)認(rèn)證系統(tǒng)，大批數(shù)字證書(shū)認(rèn)證相

關(guān)企業(yè)在產(chǎn)品開(kāi)發(fā)、系統(tǒng)運(yùn)維等方面也都以該規(guī)范作為實(shí)施參考和依據(jù)，符合該規(guī)范的產(chǎn)品

已在市場(chǎng)中大規(guī)模部署和正式運(yùn)營(yíng)。因此對(duì)該規(guī)范進(jìn)行修訂時(shí)，要考慮到兼容性需求，盡量

避免對(duì)原規(guī)范中的項(xiàng)目進(jìn)行顛覆性的修改，為現(xiàn)有的產(chǎn)品進(jìn)行改造和平滑升級(jí)留有充分的余

地，減少制造商、運(yùn)營(yíng)商、用戶進(jìn)行升級(jí)、更新的開(kāi)銷和代價(jià)。修訂規(guī)范時(shí)，考慮到不同領(lǐng)

域?qū)τ跀?shù)字證書(shū)認(rèn)證系統(tǒng)的需求具有差異，規(guī)范應(yīng)對(duì)最具有一般性、基礎(chǔ)性的密碼及安全技

術(shù)提出統(tǒng)一的要求。對(duì)于遵循本規(guī)范的產(chǎn)品制造商和服務(wù)提供商，其產(chǎn)品和服務(wù)要能夠互聯(lián)

互通，用戶也能方便地切換到其他產(chǎn)品和服務(wù)提供商。在標(biāo)準(zhǔn)修訂過(guò)程中，還力求做到符合

國(guó)家的有關(guān)政策法規(guī)要求，與已頒布實(shí)施的相關(guān)標(biāo)準(zhǔn)相協(xié)調(diào)。

三、主要工作過(guò)程

(一)標(biāo)準(zhǔn)修訂的主要工作過(guò)程如下：

1)2015年8月，成立了以劉承為負(fù)責(zé)人的標(biāo)準(zhǔn)修訂工作組，召開(kāi)了第一次會(huì)議。在

這次會(huì)議上，工作組成員討論了我國(guó)目前數(shù)字證書(shū)認(rèn)證服務(wù)行業(yè)的技術(shù)發(fā)展趨勢(shì)、基于國(guó)產(chǎn)

密碼算法的數(shù)字證書(shū)產(chǎn)品的應(yīng)用和市場(chǎng)現(xiàn)狀，提出了對(duì)規(guī)范進(jìn)行修訂的總體思路和基本原則，

并對(duì)各參與單位應(yīng)承擔(dān)的任務(wù)進(jìn)行了分工。

2)2015年11月，修訂工作組召開(kāi)了第二次會(huì)議。成員單位就各自的研究情況進(jìn)行了

匯報(bào)，討論了修訂后標(biāo)準(zhǔn)的總體框架和要調(diào)整的內(nèi)容，形成了修訂稿的草案（第一稿）。

3)2016年3月10日至11日，參加信安標(biāo)委召開(kāi)的2016年第一批推薦性國(guó)家標(biāo)準(zhǔn)

立項(xiàng)評(píng)估工作專家評(píng)審會(huì)。會(huì)議評(píng)議了《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿

草案初稿，確定了本標(biāo)準(zhǔn)的內(nèi)容要求。

4)2016年4月，修訂工作組召開(kāi)了第三次會(huì)議。對(duì)規(guī)范修訂稿的初稿進(jìn)行了討論，

形成了修訂稿草案（第二稿）。

5)2016年6月13日至16日，參加信安標(biāo)委2016年第一次工作組“會(huì)議周”。在“WG3-

密碼技術(shù)工作組在研標(biāo)準(zhǔn)推進(jìn)會(huì)”上，與會(huì)專家評(píng)審了《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技

術(shù)規(guī)范》修訂稿草案，形成了《證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿的征求意

見(jiàn)稿。

四、標(biāo)準(zhǔn)的主要內(nèi)容及修訂的內(nèi)容

(一)本標(biāo)準(zhǔn)的主要內(nèi)容

本標(biāo)準(zhǔn)依據(jù)國(guó)家有關(guān)政策法規(guī)，規(guī)定了數(shù)字證書(shū)認(rèn)證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，

包括證書(shū)認(rèn)證中心、密鑰管理中心、密碼算法、密碼設(shè)備及接口等，適用于指導(dǎo)第三方認(rèn)證

機(jī)構(gòu)的數(shù)字證書(shū)認(rèn)證系統(tǒng)的建設(shè)和檢測(cè)評(píng)估，規(guī)范數(shù)字證書(shū)認(rèn)證系統(tǒng)中密碼及相關(guān)安全技術(shù)

的應(yīng)用。

本標(biāo)準(zhǔn)主要框架如下：

1.范圍

2.規(guī)范性引用文件

3.術(shù)語(yǔ)和定義

4.縮略語(yǔ)

5.證書(shū)認(rèn)證系統(tǒng)

6.密鑰管理中心

7.密碼算法、密碼設(shè)備及接口

8.證書(shū)認(rèn)證中心

9.密鑰管理中心

10.證書(shū)認(rèn)證中心運(yùn)行管理要求

11.密鑰管理中心運(yùn)行管理要求

12.證書(shū)操作流程

13.附錄A證書(shū)認(rèn)證系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖

(二)本標(biāo)準(zhǔn)在如下幾個(gè)方面進(jìn)行了修訂：

1)在“2規(guī)范性引用文件”部分，加入了對(duì)已頒布的多個(gè)國(guó)家密碼行業(yè)標(biāo)準(zhǔn)的引用，

以及對(duì)RFC6960OCSP協(xié)議的引用；

2)在“5.4數(shù)字證書(shū)”部分，指出對(duì)于使用RSA公鑰密碼算法的數(shù)字證書(shū)，格式和

結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書(shū)格式》（GB/T20518），對(duì)于

使用SM2公鑰密碼算法的數(shù)字證書(shū)，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密碼算法的

數(shù)字證書(shū)格式規(guī)范》（GM/T0015）；

3)在“5.5證書(shū)撤銷列表”部分，指出對(duì)于使用RSA公鑰密碼算法的證書(shū)撤銷列表，

格式和結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書(shū)格式》（GB/T20518），

對(duì)于使用SM2公鑰密碼算法的證書(shū)撤銷列表，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密

碼算法的數(shù)字證書(shū)格式規(guī)范》（GM/T0015）；

4)在“6.3.9密碼服務(wù)模塊”部分，修正了GB/T25056-2010中的一個(gè)錯(cuò)誤，即“有

關(guān)密碼算法、密碼設(shè)備和密碼接口的要求在本標(biāo)準(zhǔn)第6章中規(guī)定”，實(shí)際上應(yīng)該是

“在第7章中規(guī)定”；

5)在“7.1密碼算法”部分，推薦使用國(guó)產(chǎn)SM2和SM3密碼算法；

6)在“7.3密碼服務(wù)接口”部分，不再采用GB/T25056-2010附錄C中定義的基本

接口函數(shù)，要求接口遵循已頒布的國(guó)家密碼行業(yè)標(biāo)準(zhǔn)《密碼設(shè)備應(yīng)用接口規(guī)范》

（GM/T0018）、《智能密碼鑰匙密碼應(yīng)用接口規(guī)范》（GM/T0016）、《通用密碼服

務(wù)接口規(guī)范》（GM/T0019）和《證書(shū)應(yīng)用綜合服務(wù)接口規(guī)范》（GM/T0020）；

7)刪去了GB/T25056-2010中的第8章“協(xié)議”，國(guó)家密碼管理局已經(jīng)頒布了《數(shù)字

證書(shū)認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014），因此增加了對(duì)該規(guī)范的引用，在進(jìn)行

認(rèn)證時(shí)應(yīng)當(dāng)使用該規(guī)范中規(guī)定的協(xié)議；

8)在“8.1.3管理員配置要求”部分，增加了一個(gè)新的角色“審計(jì)員”，對(duì)其應(yīng)承擔(dān)

的職責(zé)進(jìn)行了明確的描述；

9)在“8.1.5初始化要求”中，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機(jī)制，提

出該要求是為了與《基于SM2密碼算法的證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)

范》（GM/T0034）中的要求保持一致；

10)在“8.2.4.3根CA密鑰”部分，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機(jī)制，

提出該要求是為了與《基于SM2密碼算法的證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)

規(guī)范》（GM/T0034）中的要求保持一致；

11)在“8.2.4.5管理員證書(shū)密鑰”部分，增加了“審計(jì)員”角色；

12)在“8.4.1概述”部分，增加了“對(duì)密碼設(shè)備故障應(yīng)采取冗余配置的要求”；

13)在“8.5.1物理環(huán)境建設(shè)”部分，為了與《基于SM2密碼算法的證書(shū)認(rèn)證系統(tǒng)密

碼及其相關(guān)安全技術(shù)規(guī)范》（GM/T0034）中的要求保持一致，增加了對(duì)《處理涉

密信息的電磁屏蔽室的技術(shù)要求和測(cè)試方法》（BMB3-1999）的引用。此外，原

先引用的標(biāo)準(zhǔn)《SJ/T10796-1996》已被國(guó)家標(biāo)準(zhǔn)《計(jì)算機(jī)機(jī)房用活動(dòng)地板技術(shù)條

件》（GB/T6650）取代，所以在修訂版中更新為對(duì)GB/T6650的引用；

14)在“9.2.3管理員配置要求”部分，增加了一個(gè)新的角色“審計(jì)員”，對(duì)其應(yīng)承擔(dān)

的職責(zé)進(jìn)行了明確的描述；

15)在“10.1人員管理要求”部分，增加了“CA審計(jì)員”、“RA業(yè)務(wù)管理員”、“RA

業(yè)務(wù)操作員”三個(gè)角色，對(duì)他們的職責(zé)進(jìn)行了明確描述；

16)在“10.2.3.3口令管理”部分，新增了對(duì)口令密碼強(qiáng)度進(jìn)行安全性檢查的要求，

可以有效防止使用弱口令；

17)新增了“10.2.4密鑰介質(zhì)管理制度”；

18)在“10.5安全審計(jì)要求”部分，增加了“對(duì)記錄是否審計(jì)過(guò)進(jìn)行標(biāo)注”和“對(duì)審

計(jì)記錄進(jìn)行數(shù)字簽名”兩項(xiàng)要求；

19)在“11.1人員管理要求”部分，增加了為每個(gè)操作人員配置證書(shū)載體（如智能密

碼鑰匙）的要求；

20)刪去了GB/T25056-2010中的第13章“檢測(cè)”。由于證書(shū)認(rèn)證密碼系統(tǒng)包含要素

較多，原有的檢測(cè)章節(jié)中根本沒(méi)有描述檢測(cè)要求，只是一語(yǔ)帶過(guò)，所以將其刪去，

由于進(jìn)行檢測(cè)涉及多個(gè)方面的具體要求，內(nèi)容比較龐雜，建議將來(lái)為證書(shū)認(rèn)證系統(tǒng)

的檢測(cè)制訂專門的規(guī)范，這樣也能避免將其包含在本規(guī)范中會(huì)導(dǎo)致篇幅過(guò)長(zhǎng)的問(wèn)題；

21)新增第12章“證書(shū)操作流程”，詳細(xì)規(guī)定了證書(shū)申請(qǐng)、更新、吊銷、用戶密鑰恢

復(fù)、司法密鑰恢復(fù)、解除證書(shū)掛起共7項(xiàng)操作流程；

22)刪去了附錄A、附錄B、附錄C和“參考文獻(xiàn)”。附錄A和B的內(nèi)容與已頒布的國(guó)

家密碼行業(yè)標(biāo)準(zhǔn)《數(shù)字證書(shū)認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014）不符，應(yīng)以GM/T

0014為準(zhǔn)；附錄C的內(nèi)容與已頒布的國(guó)家密碼行業(yè)標(biāo)準(zhǔn)《通用密碼服務(wù)接口規(guī)范》

（GM/T0019）不符，應(yīng)以GM/T0019為準(zhǔn)。在“規(guī)范性引用文件”部分已經(jīng)加

入了對(duì)這些已頒布標(biāo)準(zhǔn)的引用。GB/T25056-2010中“參考文獻(xiàn)”部分只包含了

《時(shí)間戳規(guī)范》（GB/T20520-2006）一個(gè)標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)在GB/T20520-2006中實(shí)

際上并沒(méi)有用到，所以在修訂時(shí)刪去該參考文獻(xiàn)。

五、與相關(guān)法律法規(guī)及國(guó)家有關(guān)規(guī)定、國(guó)內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系

1)與密碼行業(yè)標(biāo)準(zhǔn)《基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范》（GM/T0015-2012）

的關(guān)系

本標(biāo)準(zhǔn)編寫(xiě)組成員單位參加了《基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范》（GM/T

0015-2012）的制訂。為了推廣國(guó)產(chǎn)密碼算法，從2010年開(kāi)始，在國(guó)家密碼管理局的領(lǐng)導(dǎo)

下，本標(biāo)準(zhǔn)編寫(xiě)組成員單位就開(kāi)始針對(duì)使用國(guó)產(chǎn)密碼算法的數(shù)字證書(shū)起草相關(guān)的一系列規(guī)范。

由于國(guó)標(biāo)的制訂和發(fā)布過(guò)程需要比較長(zhǎng)的時(shí)間，在國(guó)家密碼管理局的領(lǐng)導(dǎo)下，本標(biāo)準(zhǔn)編寫(xiě)組

成員單位起草了《基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范》（GM/T0015-2012），并以密

碼行業(yè)標(biāo)準(zhǔn)的形式，與國(guó)產(chǎn)密碼算法SM2、國(guó)產(chǎn)密碼雜湊算法SM3有關(guān)的標(biāo)準(zhǔn)先后在2012

年同一年發(fā)布。本標(biāo)準(zhǔn)吸收了《基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范》（GM/T0015-2012）

中的內(nèi)容，并針對(duì)該密碼行業(yè)標(biāo)準(zhǔn)在實(shí)際使用中收到的反饋意見(jiàn)，進(jìn)行了修改。

六、有關(guān)問(wèn)題的說(shuō)明

本標(biāo)準(zhǔn)規(guī)定了數(shù)字證書(shū)認(rèn)證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，包括證書(shū)認(rèn)證中心、密

鑰